Где хранить персональные данные клиентов?

Персональные данные граждан России по закону нужно хранить на серверах, физически расположенных на территории России — это требование 152-ФЗ «О персональных данных» с поправками 2015 года, контролирует исполнение Роскомнадзор. Касается это базы данных сайта, CRM, форм заявок и рассылок — любого места, куда попадают имя, телефон или почта клиента.

На практике это значит: проверять не только хостинг сайта, но и каждый сторонний сервис, куда утекают данные из форм — CRM, сервис email-рассылок, чат-виджет на сайте. У популярных зарубежных сервисов серверы часто стоят за границей, и формально это уже нарушение, даже если сам сайт хостится в России.

Российские аналоги есть у большинства нужных категорий: amoCRM и Битрикс24 держат данные в РФ, из email-рассылок — Unisender и MailoPost, из чатов на сайт — JivoSite. Перед подключением нового сервиса стоит прямо спрашивать у поддержки, где физически находятся их серверы, а не полагаться на догадки по адресу компании.

Проверить свой сайт на такие утечки можно вручную: открыть форму заявки, отправить тестовую запись и в консоли разработчика (клавиша F12, вкладка Network) посмотреть, на какой домен фактически уходят данные. Если это домен зарубежного сервиса, там же обычно и хранится база.